Software für Bundestagswahl laut CCC extrem unsicher

Ein häufig verwendetes Wahlorganisationssystem soll erhebliche Sicherheitslecks aufweisen. Der Chaos Computer Club (CCC) warnt in einer Analyse vor der Software. Seit 30 Jahren wird das Programm PC-Wahl eingesetzt. Dennoch weise das Programm eine Vielzahl von Schwachstellen auf. Das Programm ist nicht nur anfällig für Angriffe, sondern ermöglicht letztlich auch die Maniuplation von Wahlergebnissen.

Weitere Details zu der Analyse hat der CCC in einem 24-seitigen Bericht (PDF) zusammengefasst. Ergänzend finden sich dazu auf GitHub technische Einzelheiten sowie Software, die zur Ausnutzung der Schwächen im Wahlprogramm entwickelt wurde.

Die Analyse der Wahlsoftware geht auf die Initiativen von Zeit Online und Die Zeit zurück. Zuvor hatte der 29-jährige Informatiker Martin Tschirsich bereits über eine einfache Internetsuche alarmierende Unstimmigkeiten rund um die Software entdeckt. Er konnte das Programm, das eigentlich nur an Kommunen verkauft werden darf, herunterzuladen und er konnte ohne Probleme Passwörter ausfindig machen. Auch sei es, wie die Zeit berichtet die Abläufe in dem Programm verändern.

CCC: “Schlimmste Befürchtungen übertroffen”

“Elementare Grundsätze der IT-Sicherheit werden in dieser Software nicht beachtet”, konstatierte der an der Analyse beteiligte CCC-Sprecher Linus Neumann. Die Menge an Angriffsmöglichkeiten und die Schwere der Schwachstellen habe selbst die schlimmsten Befürchtungen übertroffen. “Eine ganze Kette aus eklatanten Schwachstellen vom Update-Server des Herstellers, über die Software selbst bis hin zu den exportierten Wahlergebnissen, ermöglicht uns die Demonstration von gleich drei praktisch relevanten Angriffsszenarien.”

Besonders erschreckend sei, wie einfach PC-Wahl zu manipulieren sei – dafür brauche es nicht etwa erfahrene Hackerteams mit nationalstaatlichem Hintergrund. So erleichtere der mangelhafte Update-Server eine komplette Übernahme. Der CCC geht zudem davon aus, dass diese eklatanten Schwachstellen nicht nur den Aktivisten in dem Verein aufgefallen sind. Auch neue Sicherungen in einer aktualisierten Version von PC-Wahl ließen sich problemlos umgehen und erwiesen sich “als ungeeignet zur Beseitigung der gemeldeten Schwachstellen”.

Die Stimmzettel werden in Deutschland nach wie vor von Hand ausgezählt und die Ergebnisse schriftlich festgehalten. Diese Ergebnisse aber werden dann meist mit PC-Wahl weiter verarbeitet. Das in Kommunen, Ländern und auf Bundesebene eingesetzte Programm erfasst und summiert die abgegebenen Stimmen, sorgt für die Auswertung und Präsentation der Wahlen.

Zwar lasse sich die Fälschung der Wahlergebnisse in PC-Wahl bei einer Überprüfung aufdecken, allerdings hätte das das Potential, “das Vertrauen in den demokratischen Prozess dauerhaft zu erschüttern”. Der Verein fordert deshalb quelloffene Software für die digitale Unterstützung bei demokratischen Wahlen. Die Wahlleiter sollten sich nicht in Abhängigkeit von Herstellern begeben, die noch auf Programmier- und Sicherheitskonzepte aus dem letzten Jahrtausend setzen, sondern Transparenz und Sicherheit durch Neuentwicklungen mittels moderner Technologie sichern.

[mit Material von Bernd Kling, ZDNet.de]

Tipp: Wie gut kennen Sie sich mit Open-Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.